ITパスポート 2017年 秋期 問70

ゼロデイ攻撃など未知の脅威から守る「振る舞い検知」の技術に関する記述【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文で重要な語句を見つける：「ゼロデイ攻撃」「未知の脅威」「振る舞い検知」。
2. 「振る舞い検知」が何をする技術かをイメージする。→ プログラムの「動き」を監視する技術。
3. 各選択肢を「動きを監視して不審を阻止するか」で照らし合わせる。
4. 該当するものだけを残し、他は別の技術（スクリーンセーバ、アカウントロック、入力の無害化）であると判断する。

選択肢別の誤答解説

• ア: PCが一定時間操作されていないことを検知し画面を暗くする。
  → これは「アイドル検知」やスクリーンセーバの説明で、セキュリティ目的でもあるが振る舞い検知ではありません。プログラムの不審な動作を監視する技術ではありません。
• イ: 誤ったパスワードの入力が連続したらアカウントを停止する。
  → これは「アカウントロックアウト」やブルートフォース（総当たり）対策の説明です。振る舞い検知ではなく、ログイン試行の回数を基にした制御です。
• ウ: プログラムの動きを常時監視し、意図しない外部への通信のような不審な動きを発見したときに、その動きを阻止する。
  → これが正しい説明です。振る舞い検知は、未知のマルウェアやゼロデイ攻撃の振る舞いをもとに検出・防御できるため、ここに合致します。
• エ: 利用者がWebページに入力した内容に有害な文字列を発見したら無害な文字列に置き換える。
  → これは「入力検証」や「サニタイズ（sanitization：無害化）」、クロスサイトスクリプティング（XSS）対策などの説明です。振る舞い検知とは役割が異なります。

よくある誤解

1. 振る舞い検知＝すべての攻撃を完全に止める、と思う誤解。
   → 実際は効果的ですが、誤検知（安全な動作を悪と判定する）や見落としもあり、他の対策（パッチ適用、アクセス制御）と組み合わせる必要があります。
2. 振る舞い検知は常にネットワークを遮断する、という誤解。
   → 多くの製品は「警告」「隔離」「通信遮断」など複数の対応モードを持ちます。全自動で即遮断するかどうかは設定次第です。
3. 署名ベースの検知と振る舞い検知を同じものだと考える誤解。
   → 署名検知は既知の攻撃に強い一方、振る舞い検知は未知の攻撃に強い、という違いがあります。両者は補完関係です。

補足コラム

• 振る舞い検知の実装例として「EDR（Endpoint Detection and Response：端末の検出と対応）」があります。EDRは各PCやサーバ（サービスを提供するコンピュータ）の振る舞いを監視し、異常時にログを集めて対応します。
• ゼロデイ攻撃は「まだ修正プログラム（パッチ）が出ていない脆弱性を突く攻撃」です。署名が存在しないため、振る舞いを見て判断する手法が有効になります。
• 振る舞い検知は「正常な振る舞いの基準（ベースライン）」を学習して、そこからの逸脱を検知することも多いです。そのため最初の学習期間に注意が必要です。

FAQ